CVE-2026-100718 in Froxlor
Tóm tắt
Bởi VulDB • 26/09/2026
Froxlor qua phiên bản 2.3.10 không thực thi chính sách `mail.allow_external_domains` trong lệnh API `EmailSender.add`. Khi một quản trị viên đã bật tính năng allowed-sender nhưng vô hiệu hóa các tên miền allowed-sender bên ngoài (cấu hình: `mail.enable_allow_sender = 1`, `mail.allow_external_domains = 0`), thì người dùng khách hàng đã xác thực có quyền truy cập API vẫn có thể sử dụng lệnh `EmailSender.add` để đăng ký một địa chỉ gửi thư bên ngoài tùy ý cho hộp thư của họ, và địa chỉ này được lưu trữ bất chấp chính sách. Điều này tạo ra một lỗ hổng bypass giữa giao diện người dùng/cấu hình quản trị viên và API, và — khi cấu hình email được sinh ra tiêu thụ bảng allowed-sender — cho phép khách hàng ủy quyền các danh tính gửi thư bên ngoài các tên miền do họ lưu trữ, tạo điều kiện thực hiện spoofing (giả mạo) địa chỉ người gửi. Đã sửa trong phiên bản 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.